新聞筆記 · IDAEO AI News新聞正文
廣泛應用於網站與電子商務平台的程式語言 PHP，近日被揭露兩項高風險漏洞，嚴重度評分均達 CVSS v4.0 9.2，漏洞資訊與攻擊程式碼更在官方修補程式釋出前公開。 趨勢科技（東京證券交易所：4704）提醒，攻擊者可能在未經身分驗證的情況下遠端執行惡意程式碼，造成資料遭竊、檔案遭竄改或服務中斷；企業若只更新 WordPress 等網站程式，仍須確認底層 PHP 執行環境是否完成修補。 兩項漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619，均與 PHP 記憶體管理問題有關。
趨勢科技指出，受影響環境包括 Apache mod_php、PHP-FPM、CGI、FrankenPHP 與 LiteSpeed，實際風險會依部署方式而異，其中 Apache mod_php 風險相對較高。 只更新網站程式，可能漏掉底層PHP PHP 是網站及電商服務常見的執行環境，但企業盤點資產時，未必只會在主要網站主機上找到 PHP。 容器映像檔、開發與測試環境、主機控制面板，甚至設備的網頁管理介面，都可能使用 PHP，成為容易忽略的曝險點。 由於漏洞位於 PHP 本身，更新 WordPress、Magento 或企業自建應用程式，並不等於底層 PHP 已完成修補。
企業應先確認網站實際使用的 PHP 執行環境、版本與部署方式，再依系統是否對外開放、是否處理付款或客戶資料，安排修補優先順序。 對於 PHP 8.1 及更早版本，趨勢科技建議企業向供應商確認是否提供回補修正，或評估升級至仍受支援的版本。 不過，部分 Linux 發行版與長期支援供應商會將安全修正回補至舊版套件，因此不能單憑版本號判斷系統是否已修補，仍須確認套件來源與更新內容。 修補後還要驗證，並追查可能的入侵跡象 趨勢科技建議企業先盤點網站、容器與第三方產品中的 PHP 使用情形，接著優先處理對外服務，再確認代管業者、託管服務商或設備供應商的更新進度。 完成更新後，也應重新啟動服務或替換容器映像檔，確認修補實際生效。
若短時間內無法完成更新，企業可先移除不必要的對外服務，並透過 VPN 或允許清單限制管理介面存取，降低曝險範圍；防火牆與入侵防護措施則可作為過渡防線。 PHP 官方也提醒，調整系統設定只能暫時降低部分風險，不能取代正式安全更新。 修補完成不代表調查工作結束。 企業還應檢查修補前的異常請求、可疑程序、檔案變更、網頁後門及異常對外連線，尤其要優先檢視曾長時間暴露在網際網路上的系統，確認是否已有入侵跡象。 中小企業應急措施：趨勢科技推代理防護，台灣大開放資安體驗 針對人力與技術資源有限、難以迅速完成盤點和修補的中小企業，趨勢科技旗下 TrendLife 推出「PHP漏洞急救包」。
依公司說明，服務採代理（Proxy）架構，部署在網站前方，在惡意請求抵達伺服器前進行攔截，防護規則針對 PHP、WordPress 與 Laravel 網站調整；服務即日起提供 7 天免費使用。 趨勢科技執行長陳怡樺表示，PHP漏洞影響層面廣，仰賴網站營運的中小企業衝擊尤其直接，「網站一旦受影響就可能面臨服務中斷、無法接單與資料外洩的風險」。 她並表示，趨勢科技的應變作法包括在網路層檢查流量、攔阻攻擊，並在端點部署防護，以降低惡意程式植入風險，讓業者有更多時間完成修補。 這項代理式防護仍不能取代 PHP 正式更新，企業須確認修補來源、完成更新並驗證生效。
同樣因應資安署近期發布的資安警訊，台灣大哥大（3045）宣布即日起至 11 月 30 日，開放前 100 家企業免費體驗 EASM 外部攻擊面管理、EDR 端點偵測與回應及社交工程演練平台。 台灣大進一步說明，EASM 可檢視企業對外網路服務、網站、帳密、電子郵件與雲端曝險；EDR 協助掌握端點可疑行為，社交工程平台則透過釣魚情境檢視員工資安意識。 免費內容包括一次 EASM 檢測、EDR 體驗，以及一次 200 封郵件的社交工程演練。 台灣大哥大企業服務事業商務長朱曉幸表示，資安防護不應因企業規模而有所差別。 這些體驗著重外部曝險盤點、端點偵測與員工演練，並非 PHP 漏洞修補服務，企業仍須確認底層 PHP 更新是否完成。
趨勢科技TrendLife™推「PHP漏洞急救包」為中小企業網站加上一層即時防護網、爭取漏洞修補時間。 （趨勢提供） 消費者慎防假冒更新通知 趨勢科技表示，目前沒有公開資料顯示詐騙集團已利用此次漏洞行騙，但提醒消費者留意借資安事件名義發送的簡訊或電子郵件。 若訊息要求立即更新、重新登入或驗證帳號，應先透過官方網站、App 或客服查證，不要直接點擊陌生連結，也不要下載不明更新程式。 趨勢科技也建議民眾維持手機、電腦與應用程式在最新版本；若收到可疑訊息，可撥打 165 反詐騙諮詢專線查證。 此次漏洞需要修補的是網站業者的 PHP 執行環境，消費者不應依陌生訊息指示，安裝所謂的「PHP漏洞更新」。